Brouillon — en attente de relecture juridique
Ce texte décrit honnêtement le fonctionnement actuel de Choppy, mais n'a pas encore été validé par un professionnel du droit ni mis à jour avec l'identité légale définitive de l'entreprise. Ne t'y fie pas comme à un document final.
Politique de confidentialité
Dernière mise à jour : 18 septembre 2026
1. Qui traite tes données
Le responsable de traitement est l'éditeur de Choppy, identifié sur la page mentions légales (identité juridique en cours de constitution — voir le bandeau en haut de cette page). Pour toute question sur tes données, écris à [adresse email de contact à compléter].
2. L'architecture qui te protège : ta session ne quitte jamais ta machine
C'est le principe qui structure tout le reste de cette page, alors autant commencer par lui.
eBay a une API officielle : Choppy l'interroge depuis ses propres serveurs, avec ses propres identifiants d'API.
Vinted et leboncoin n'ont pas d'API publique. Pour les surveiller, Choppy ne demande jamais tes identifiants de ces sites et ne les stocke jamais. À la place, une extension navigateur tourne sur ton propre ordinateur, sous ton contrôle, avec ta propre session de navigation — une session anonyme, celle que n'importe quel visiteur reçoit en consultant le catalogue public de ces sites, sans se connecter. L'extension appelle la même API interne que le site pour lire les annonces, exactement comme le ferait ton navigateur.
Concrètement : aucun mot de passe, cookie de session ou jeton Vinted/leboncoin ne transite jamais par les serveurs de Choppy. Ce que l'extension envoie à Choppy, c'est uniquement le résultat de la recherche — les annonces publiques qui correspondent à tes critères — jamais la session elle-même. C'est une contrainte technique choisie dès la conception du produit (« privacy by design »), pas une option qu'on pourrait désactiver.
L'extension Chrome : ce qu'elle fait, et ce qu'elle ne fait pas
Cet agent est une extension Chrome. Elle a un seul but : surveiller pour toi les annonces publiques de Vinted et leboncoin, depuis ton navigateur. Voici chaque autorisation qu'elle demande et à quoi elle sert — aucune n'est là « au cas où ».
| Autorisation | Pourquoi elle est nécessaire |
|---|---|
| vinted.fr, leboncoin.fr | Lire le catalogue public de ces sites, dans un onglet, pour y trouver les annonces correspondant à tes critères. C'est la fonction même du produit. |
| tabs, scripting | Ouvrir l'onglet qui consulte le catalogue et y lire le résultat. L'accès se limite aux deux sites ci-dessus : l'extension ne lit pas tes autres onglets et n'a aucune autorisation sur le reste du web. |
| storage | Conserver, sur ta machine uniquement, le jeton qui relie cette extension à ton compte Choppy. Rien d'autre n'y est stocké. |
| alarms | Réveiller l'extension périodiquement, pour qu'elle ne rate pas une annonce pendant que Chrome l'a mise en veille. |
| getchoppy.fr | Se connecter à ton compte Choppy pour recevoir les recherches à effectuer et renvoyer les annonces trouvées. |
Ce que l'extension ne fait jamais : lire ou transmettre tes cookies et identifiants Vinted/leboncoin, suivre ta navigation, consulter des sites autres que ceux listés ci-dessus, ni vendre ou céder la moindre donnée à un tiers. Les seules informations qu'elle envoie à Choppy sont les annonces publiques correspondant aux recherches que tu as toi-même créées.
3. Données que nous collectons, et pourquoi
| Donnée | Pourquoi | Base légale | Durée |
|---|---|---|---|
| Email, mot de passe (haché), nom | Créer et sécuriser ton compte | Exécution du contrat | Jusqu'à suppression du compte |
| Critères de recherche configurés | Faire fonctionner le service d'alerte | Exécution du contrat | Jusqu'à suppression de la recherche ou du compte |
| Métadonnées de session (IP, appareil, horodatage de connexion) | Détecter un vol de session (rotation de jeton) et sécuriser les connexions | Intérêt légitime (sécurité) | Durée de la session, puis rotation |
| Données de facturation (via Stripe) | Gérer l'abonnement payant | Exécution du contrat / obligation légale (facturation) | Durée légale de conservation comptable |
| Demandes envoyées au support, et les captures d'écran que tu y joins | Te répondre et reproduire le problème (avec le navigateur et la taille d'écran que ta page déclare) | Exécution du contrat (assistance) | Supprimées avec ton compte — messages et images comprises |
| Code d'appairage de l'extension | Relier ton extension à ton compte, sans jamais transmettre tes identifiants Vinted/leboncoin | Exécution du contrat | Durée de vie de l'appairage |
Le détail complet, traitement par traitement, est tenu à jour dans notre registre des traitements interne (docs/RGPD.md).
4. Données tierces : les annonces que nous affichons
Pour te prévenir, Choppy lit des annonces publiques publiées par des vendeurs sur eBay, Vinted et leboncoin : titre, prix, photos, et parfois un identifiant ou pseudonyme de vendeur. Ces données concernent des tiers — les vendeurs — qui n'ont pas de compte Choppy et n'ont pas consenti spécifiquement à Choppy.
Ce traitement se justifie par l'intérêt légitime de Choppy et de ses utilisateurs à une veille sur des informations déjà publiques, rendues accessibles par le vendeur lui-même via la publication de son annonce. Ces données :
- ne servent qu'à faire correspondre une annonce à tes critères de recherche ;
- ne sont jamais recoupées entre elles pour construire un profil sur un vendeur particulier ;
- sont supprimées quand tu vides tes annonces ou supprimes ta recherche/ton compte, et de toute façon automatiquement au-delà d'une durée de rétention raisonnable liée à la déduplication (éviter de te renotifier une annonce déjà vue).
Un vendeur qui souhaite s'opposer à cette lecture publique doit s'adresser à la plateforme sur laquelle il a publié son annonce (Vinted, leboncoin, eBay), qui reste responsable de son propre catalogue public.
5. Qui reçoit ces données
Choppy ne vend ni ne loue aucune donnée. Certains prestataires techniques (« sous-traitants » au sens RGPD) y ont accès dans la stricte mesure nécessaire à leur rôle :
- Stripe — paiement et facturation.
- Un fournisseur d'envoi d'emails (SMTP) — vérification d'adresse, réinitialisation de mot de passe.
- Apple, Google ou Mozilla (services de push de ton navigateur, message chiffré), Telegram et/ou Discord — acheminement des notifications d'alerte, selon le canal que tu choisis.
- L'hébergeur du serveur (VPS) qui fait tourner l'application et la base de données.
La liste complète, avec le statut de chaque accord de sous-traitance (DPA), est tenue à jour dans docs/RGPD.md — certains de ces accords ne sont pas encore formellement signés à ce stade du projet.
6. Sécurité
Quelques choix concrets, pas juste une promesse générale :
- Les mots de passe sont hachés avec argon2id, jamais stockés en clair.
- Les jetons de session vivent dans des cookies httpOnly, invisibles au JavaScript du navigateur — une faille XSS ne suffirait pas à les voler.
- La réutilisation d'un jeton de rafraîchissement déjà utilisé (signe de vol) coupe immédiatement toutes les sessions actives du compte.
- Chaque espace de travail (workspace) est isolé au niveau de la base de données : un accès hors de son propre espace échoue par construction, il ne fuit jamais silencieusement.
7. Tes droits
Conformément au RGPD, tu peux :
- accéder aux données que nous détenons sur toi ;
- les faire rectifier si elles sont inexactes ;
- demander leur effacement — tu peux le faire toi-même, immédiatement, depuis les réglages du tableau de bord ;
- t'opposer à un traitement fondé sur l'intérêt légitime ;
- demander la limitation d'un traitement ;
- obtenir la portabilité des données que tu nous as fournies.
Pour exercer ces droits, écris à [adresse email de contact à compléter]. Tu disposes aussi du droit d'introduire une réclamation auprès de la CNIL (www.cnil.fr) si tu estimes que tes droits ne sont pas respectés.
8. Transferts hors Union européenne
Certains prestataires (Stripe notamment) peuvent traiter des données en dehors de l'UE, encadrés en principe par des clauses contractuelles types. Cette section sera précisée et vérifiée lors de la relecture juridique de ce document — ne considère pas l'absence de détail ici comme une garantie qu'aucun transfert n'a lieu.
9. Cookies
Le détail des cookies utilisés — et pourquoi Choppy n'affiche pas de bandeau de consentement — est décrit sur la page dédiée aux cookies.